ali8840

    廣大網(wǎng)友最頭疼的事，恐怕就是在瀏覽網(wǎng)頁(yè)的同時(shí)，IE瀏覽器頻頻遭到惡意腳本的修改！有時(shí)候?yàn)g覽器標(biāo)題欄在上午還寫(xiě)著“歡迎光臨A網(wǎng)站”，下午再上網(wǎng)就已經(jīng)被改成了“B網(wǎng)站歡迎您再次訪問(wèn)”，真是讓人苦笑不得。更有甚者，上了某個(gè)網(wǎng)站之后連Windows的注冊(cè)表都被鎖定，這可讓人有些惱火了！本文就是結(jié)合我的實(shí)際經(jīng)驗(yàn)，以目前較常見(jiàn)的十多種攻擊方式為例，來(lái)教一些對(duì)注冊(cè)表不甚了解的朋友如何防范以及反修改。

    一、常規(guī)防范

    1. 卸載或升級(jí)WSH

    WSH是Windows Scripting Host Object Reference的簡(jiǎn)稱，Windows系統(tǒng)把它設(shè)為默認(rèn)的安裝項(xiàng)。許多普通用戶對(duì)WSH認(rèn)識(shí)不多，當(dāng)然也不會(huì)想到將它卸載。我們從微軟的中文官方網(wǎng)站上可以了解到：“WSH給32位Windows 平臺(tái)提供了使用簡(jiǎn)便、功能強(qiáng)大和變化靈活的腳本。”，它支持的的ActiveX腳本體系結(jié)構(gòu)，可讓用戶能使用強(qiáng)大的諸如Visual Basic Script和Java Script之類的腳本語(yǔ)言，同時(shí)也支持MS-DOS命令腳本。并且能使腳本直接在Windows桌面或命令控制臺(tái)上執(zhí)行。由此可知，利用WSH結(jié)合腳本程序可以寫(xiě)出極劇殺傷力的病毒來(lái)。因此建議經(jīng)常上網(wǎng)的普通計(jì)算機(jī)用戶可以考慮卸載WSH。卸載方法：進(jìn)入“控制面板”，選擇“添加/刪除程序”，切換到“windows安裝程序”，選擇“附件”，再選擇“詳細(xì)資料”中的Windows Scripting Host，最后點(diǎn)擊“確定”即可卸載。此外，您還有一個(gè)更好的選擇，升級(jí)到WSH。IE瀏覽器可以被惡意腳本改，原因就是IE6.0以及以前版本中的WSH允許攻擊者利用javascript中的Getobject函數(shù)以及htmlfilr Activex對(duì)象讀取瀏覽者的注冊(cè)表。微軟最新的Microsoft Windows Script已經(jīng)修正這個(gè)問(wèn)題。安裝最新WSH 后可以完全消除瀏覽器中潛在的不安全因素，使您從瀏覽器屢遭惡意修改的惡夢(mèng)中解脫出來(lái)！
    2. 屏蔽已知的含有惡意腳本的網(wǎng)頁(yè)

    如果你使用諸如NetCaptor、MyIE等外掛瀏覽器，就可以把含有惡意腳本的網(wǎng)頁(yè)（當(dāng)然，前提是您已經(jīng)確認(rèn)）屏蔽掉，以免今后再次受害。以NetCaptor瀏覽器為例，在想要屏蔽的網(wǎng)頁(yè)標(biāo)簽上單擊鼠標(biāo)右鍵，在彈出的菜單中選擇“Add To” →“Add to PopupCaptor”，然后在彈出的確定框點(diǎn)擊“OK”即可。如果您常用的是IE瀏覽器，選擇菜單欄里的“工具”→“Internet選項(xiàng)”→“內(nèi)容”→“分級(jí)審查”，點(diǎn)擊“啟用”按鈕，在彈出的“分級(jí)審查”對(duì)話框中切換到“許可站點(diǎn)”標(biāo)簽，輸入您想屏蔽的網(wǎng)站網(wǎng)址，隨后點(diǎn)擊“從不”按鈕，再點(diǎn)“確定”即可。

     3.設(shè)定IE瀏覽器的安全級(jí)別

    由于IE遭到修改往往是因?yàn)闉g覽了含有惡意腳本的網(wǎng)頁(yè)，因此在IE設(shè)置相應(yīng)的安全級(jí)別即可避免IE再次遭到惡意修改。設(shè)置方法：在IE的菜單欄中選擇“工具”→“Internet選項(xiàng)”，在彈出的對(duì)話框中切換到“安全”標(biāo)簽，選擇“Internet”后點(diǎn)擊“自定義級(jí)別”按鈕，在“安全設(shè)置”對(duì)話框中，把“ActiveX插件和控件”、“腳本”中的相關(guān)選項(xiàng)全部選擇“禁用”或“提示”即可。如果選擇了“禁用”，一些正常使用ActiveX和腳本的網(wǎng)站可能無(wú)法完全顯示，建議大家不要因噎廢食，還是選擇“提示”吧。

    4. 使用更新版本的操作系統(tǒng)

    使用WindowsXP的朋友，一定要隨著微軟的根新節(jié)奏來(lái)升級(jí)自己的操作系統(tǒng)，補(bǔ)丁一定要打牢。還可以通過(guò)禁用“遠(yuǎn)程注冊(cè)表服務(wù)”來(lái)阻擋部分惡意腳本。具體方法是：在“控制面板”→“管理工具”→“服務(wù)”中右鍵單擊“Remote Registry Service”，在彈出菜單中選擇“屬性”，打開(kāi)屬性對(duì)話框，在“General”內(nèi)將“Startup type”設(shè)為“Disabled”。這樣也可以攔截部分的惡意腳本程序。

     5. 使用防火墻及殺毒軟件

     這可能是遇到這類問(wèn)題后大家首先想到的。但根據(jù)我的一點(diǎn)實(shí)際經(jīng)驗(yàn)，這并不是很管用。防火墻我從來(lái)不用，殺毒軟件只用諾頓，每次遇到含此類惡意腳本的網(wǎng)頁(yè)，諾頓盡管會(huì)彈出一個(gè)個(gè)的警告框，可IE還是被照改不誤。也許是現(xiàn)在的殺毒軟件對(duì)這類腳本惡作劇還不太感冒吧。如果您正在使用的殺毒軟件或防火墻可以有效遏制這類腳本，不妨寫(xiě)信告訴我，和其他朋友一同分享吧吧：）

     二、工具修改

     1. 老牌系統(tǒng)修改工具M(jìn)egic Set

     Megic Set“超級(jí)兔子魔法設(shè)置”系列軟件可以說(shuō)是國(guó)內(nèi)最棒的共享軟件之一，和經(jīng)典的Tweak系列軟件都有得一比。現(xiàn)在最新版本的超級(jí)兔子又新增了一個(gè)小工具“超級(jí)兔子注冊(cè)表保護(hù)器”，它的作用就是保護(hù)您的注冊(cè)表不被惡意修改，以及被修改后的及時(shí)恢復(fù)。保護(hù)器得使用方法很簡(jiǎn)單：先在左邊的復(fù)選框內(nèi)選中您想反修改的項(xiàng)目，然后點(diǎn)“清除”按鈕，它便會(huì)彈出一個(gè)確認(rèn)框，提示非安裝Windows時(shí)自帶的和IE有關(guān)的注冊(cè)表項(xiàng)將被清除并恢復(fù)到初始狀態(tài)，點(diǎn)擊確定即可。當(dāng)然，如果您想保留某些自定義的項(xiàng)目，可以通過(guò)“超級(jí)兔子魔法設(shè)置”修改，具體的使用方法很簡(jiǎn)單，相信您一看就會(huì)明白。另外，您也可以點(diǎn)擊“保護(hù)”按鈕，這時(shí)保護(hù)器就會(huì)最小化在系統(tǒng)托盤(pán)，時(shí)刻保護(hù)您的注冊(cè)表不被修改。最后，您還可選中“開(kāi)機(jī)自動(dòng)運(yùn)行………”前的選擇框，保護(hù)器就會(huì)在您每次開(kāi)機(jī)時(shí)運(yùn)行，這樣可以做到防范于未然，您就可以高枕無(wú)憂的上網(wǎng)了。

     2. 金山毒霸的反修改工具Duba_RegSolve

     這是金山毒霸針對(duì)目前網(wǎng)上橫行的惡意網(wǎng)頁(yè)而開(kāi)發(fā)的反修改小軟件。您可以用它來(lái)恢復(fù)注冊(cè)表的默認(rèn)設(shè)置。打開(kāi)它的界面，您可以看到它的反修改選項(xiàng)較全面，而且軟件操作也很直觀，相信不用我多做介紹您也很容易上手。

    除此之外，在網(wǎng)上還有不少小軟件可以對(duì)注冊(cè)表的某些項(xiàng)目進(jìn)行修改。只是其中魚(yú)龍混雜，也不及上文提到的兩個(gè)軟件全面和安全。所以在此也無(wú)需多做介紹。

    三、手動(dòng)清除

    1. 注冊(cè)表被禁用

    對(duì)注冊(cè)表的編輯是解決本文所涉及問(wèn)題的關(guān)鍵所在，而許多朋友在打開(kāi)注冊(cè)表修編輯器時(shí)，卻發(fā)現(xiàn)居然連注冊(cè)表都被“管理員禁用”了！其實(shí)這也是含有惡意代碼的網(wǎng)頁(yè)文件搗的鬼。如果您的注冊(cè)表也被禁用了，可以按下面的方法來(lái)解鎖：

    1.)新建一個(gè)文本文件，輸入以下內(nèi)容（注意保持文本格式）：
REGEDIT4

    [HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System]

    “DisableRegistryTools”=dword:00000000
    點(diǎn)擊“文件”菜單，選擇“保存”命令，以“recover.reg”為文件名保存在任意位置。
    2.)雙擊該“recover.reg”文件，系統(tǒng)彈出“是否確認(rèn)要將 recover.reg 中的信息添加進(jìn)注冊(cè)表”的確認(rèn)框，點(diǎn)“是”，隨后，系統(tǒng)提示“recover.reg 里的信息已被成功地輸入注冊(cè)表”，再點(diǎn)擊“確定”即可將注冊(cè)表解鎖并進(jìn)行隨后的修改。

    2. 開(kāi)始菜單的“運(yùn)行”消失

    在“運(yùn)行”欄中輸入regedit是我們常用的打開(kāi)注冊(cè)表編輯器的方式。然而有些含惡意代碼的網(wǎng)頁(yè)甚至連這里都不放過(guò)，難道它們認(rèn)為憑這就可以阻止我們對(duì)注冊(cè)表的反修改嗎？沒(méi)問(wèn)題，用兩個(gè)簡(jiǎn)單的方法就可以把“運(yùn)行”恢復(fù)。
     其一，進(jìn)入C:＼WINNT，找到“regedit.exe”，雙擊它就可以打開(kāi)注冊(cè)表編輯器，接著請(qǐng)定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer
找到“NoRun”值項(xiàng)，右鍵單擊之，選擇“修改”（或者直接刪除更好），把它的值改為 0，重新啟動(dòng)電腦即可；
     其二，新建一個(gè)文本文件，輸入以下內(nèi)容（注意保持文本格式）：REGEDIT4

    [HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer]

   “NoRun”=dword:00000000
    將該文件保存為run.reg文件，雙擊該文件，重啟電腦后，再打開(kāi)“開(kāi)始”菜單看看，“運(yùn)行”選項(xiàng)是不是已經(jīng)恢復(fù)了呢？

     3. IE瀏覽器的標(biāo)題欄被修改

     這是目前最常見(jiàn)的修改IE瀏覽器的方式。它的反修改也很容易，首先打開(kāi)“開(kāi)始”菜單，選運(yùn)行命令輸入“regedit”，點(diǎn)擊“確定”即打開(kāi)了注冊(cè)表編輯器。然后請(qǐng)定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main 、HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main 及HKEY_USERS＼.DEFAULT＼Control Panel
     三處子項(xiàng)，您會(huì)發(fā)現(xiàn)在它們下面都有一個(gè)叫“Window Title”的值項(xiàng)（也可能只有一處有，關(guān)鍵是要修改HKCU的值項(xiàng)），用鼠標(biāo)右鍵單擊該值項(xiàng)，在彈出菜單選擇“修改”，將它修改為默認(rèn)的“Microsoft Internet Explorer”或者任意您希望看到的語(yǔ)句，最后關(guān)閉注冊(cè)表編輯器并打開(kāi)一個(gè)新的IE瀏覽器窗口，就能看到您設(shè)定的效果。

    4. OutLook的標(biāo)題欄被修改

    這個(gè)情況比較少見(jiàn)，至少我沒(méi)有遇到過(guò)，只是有網(wǎng)友寫(xiě)信來(lái)詢問(wèn)，我才知道有些人居然無(wú)聊到這種地步。不過(guò)沒(méi)關(guān)系，它的反修改同樣很簡(jiǎn)單，打開(kāi)注冊(cè)表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Outlook Express子項(xiàng)下，找到值項(xiàng)“Window Title”，和反修改IE瀏覽器的方法一樣來(lái)修改“Window Title”值。最后關(guān)閉注冊(cè)表編輯器并重起OutLook即可看到效果。

     5. IE瀏覽器的首頁(yè)被修改

     這可能是目前網(wǎng)友反映最多的一個(gè)問(wèn)題。一開(kāi)始的時(shí)候解決這個(gè)問(wèn)題很簡(jiǎn)單，在IE的菜單中選擇：“工具”--“Internet選項(xiàng)”--“常規(guī)”，在“主頁(yè)”一欄中進(jìn)行修改即可。但隨著事態(tài)的發(fā)展，形勢(shì)日趨嚴(yán)峻：一些網(wǎng)站的站長(zhǎng)將多個(gè)腳本程序聯(lián)合使用，導(dǎo)致的后果往往就是首頁(yè)被修改的同時(shí)，IE的“主頁(yè)”選項(xiàng)也被禁用（按鈕呈灰色不可用狀態(tài)）！不過(guò)，沒(méi)問(wèn)題，現(xiàn)在我們就來(lái)解決這個(gè)問(wèn)題。
     請(qǐng)您打開(kāi)注冊(cè)表編輯器。定位到：HKEY_LOCAL_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel及HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel兩處子項(xiàng)，你會(huì)發(fā)現(xiàn)一個(gè)名為HomePage的DWORD值項(xiàng)，值為:1，不必猶豫，直接刪掉它，或者把值改為0。然后關(guān)閉注冊(cè)表編輯器，新開(kāi)一個(gè)IE瀏覽器，再依次點(diǎn)擊“工具”--“Internet選項(xiàng)”--“常規(guī)”，你就會(huì)發(fā)現(xiàn)原來(lái)呈灰色的修改IE主頁(yè)的按鈕已經(jīng)恢復(fù)到了可編輯狀態(tài)。此時(shí)您就可以按自己的喜好隨意設(shè)定瀏覽器的主頁(yè)了。

    6. IE瀏覽器的默認(rèn)頁(yè)及空白頁(yè)被修改

    打開(kāi)注冊(cè)表編輯器，定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main子項(xiàng)，修改Default_Page_URL的值即可。
     定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main子項(xiàng)，修改Local Page的值即可。

    7. 每次開(kāi)機(jī)后彈出一個(gè)網(wǎng)頁(yè)

    如果您每次開(kāi)機(jī)后都會(huì)彈出一個(gè)IE瀏覽器，那就請(qǐng)您記住地址欄里的網(wǎng)址，然后打開(kāi)注冊(cè)表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Runonce
    看看在該子項(xiàng)下是否有一個(gè)以這個(gè)網(wǎng)址為值的值項(xiàng)，如果有，刪除它。下次開(kāi)機(jī)時(shí)就不會(huì)再有瀏覽器彈出了。不過(guò)道高一尺，魔高一丈，有時(shí)候這樣也未必能解決問(wèn)題。遇到這種情況，您可以在注冊(cè)表編輯器的菜單里選擇“編輯”--“查找”，在“查找”對(duì)話框內(nèi)輸入開(kāi)機(jī)時(shí)自動(dòng)打開(kāi)的網(wǎng)址，然后點(diǎn)擊“查找下一個(gè)”，將查找到的值項(xiàng)刪除。

     8. IE瀏覽器的鼠標(biāo)右鍵被禁用

     其癥狀即為打開(kāi)任意一個(gè)網(wǎng)頁(yè)，單擊鼠標(biāo)右鍵都無(wú)法彈出菜單選項(xiàng)。這給許多經(jīng)常上網(wǎng)的朋友造成了很多不便。和上面一樣，打開(kāi)注冊(cè)表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Restrictions,在該子項(xiàng)下有一個(gè)dword值為1的"NoBrowserContextMenu"值項(xiàng)，刪掉它即可。

    9. 右鍵菜單內(nèi)被添加網(wǎng)站鏈接

    很多朋友會(huì)在無(wú)意間突然發(fā)現(xiàn)，自己的右鍵菜單里不知道什么時(shí)候多出了一個(gè)“歡迎光臨XX網(wǎng)站 的選項(xiàng)，點(diǎn)擊之后便會(huì)打開(kāi)瀏覽器進(jìn)入這個(gè)網(wǎng)站。其實(shí)這往往是通過(guò)腳本程序在注冊(cè)表里做了手腳。有些網(wǎng)站就采用這種技術(shù)，在訪問(wèn)者的右鍵菜單加上了他們網(wǎng)站的快捷方式。解決的方法也很簡(jiǎn)單，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt,仔細(xì)查看其下的子項(xiàng)，刪除你不要的即可。當(dāng)然您也可以照此格式添加自己的快捷方式，比如常去的網(wǎng)站等等。不過(guò)要是您對(duì)注冊(cè)表不太熟悉的話，建議您先做好備份再修改。

    10. 桌面上的圖標(biāo)全部消失

    如果當(dāng)您打開(kāi)電腦，發(fā)現(xiàn)自己的桌面上居然空空如也，一個(gè)圖標(biāo)都不見(jiàn)了，您會(huì)作何感想？不用說(shuō)，這十有八九又是上網(wǎng)惹得禍。如果您想恢復(fù)，請(qǐng)把注冊(cè)表定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer，找到“NoDesktop”值項(xiàng)，右鍵單擊之，選擇“修改”（或者干脆刪除也可以），把它的值改為0，重新啟動(dòng)電腦即可?？纯矗遣皇怯只謴?fù)到您熟悉的桌面了^_^？

    11. IE工具欄（菜單）被添加網(wǎng)站鏈接

    大家都知道，我們常用的軟件在安裝后，會(huì)向IE的工具欄（菜單）中添加它們的快捷方式?，F(xiàn)在有些網(wǎng)站也通過(guò)惡意腳本修改注冊(cè)表來(lái)達(dá)到同樣的效果。下面就讓我們來(lái)解決這個(gè)問(wèn)題，請(qǐng)把注冊(cè)表定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Extensions，您會(huì)看到在該主鍵下有一些形同“{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}”的子鍵，仔細(xì)查看一下您就會(huì)明白，這些子鍵就是解決問(wèn)題的關(guān)鍵所在，現(xiàn)在您只需將包含惡意網(wǎng)站鏈接的那個(gè)子鍵刪除即可。另外，如果在HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Extensions＼CmdMapping下有和您刪除的形同{X......X}一樣鍵值的值項(xiàng)，也請(qǐng)將它刪除。完成后關(guān)閉注冊(cè)表編輯器，重新打開(kāi)一個(gè)IE窗口，看看工具欄（菜單）是不是已經(jīng)恢復(fù)了？其實(shí)利用這個(gè)特性我們還可以DIY一個(gè)屬于自己的個(gè)性工具欄。

    四、需要說(shuō)明的是注冊(cè)表是Windows系統(tǒng)的核心部分，對(duì)它的修改一旦出現(xiàn)錯(cuò)誤就很容易造成系統(tǒng)崩潰。因此，如果您在此之前沒(méi)有這方面的經(jīng)驗(yàn)，建議您采用文中提到的兩個(gè)工具進(jìn)行反修改；如果您希望借此機(jī)會(huì)了解和熟悉Windows注冊(cè)表，那么建議您在修改前做好全面?zhèn)浞荩詡浣窈蠡謴?fù)之用。現(xiàn)在的惡意腳本日趨復(fù)雜，往往是幾段腳本程序混合使用，這可能需要您在反修改時(shí)靈活運(yùn)用文中所提到的技巧。

    最后，奉勸仍在使用此類腳本的網(wǎng)站，這種做法不可能為你帶來(lái)穩(wěn)定的訪問(wèn)量，反而降低了你網(wǎng)站的品味。請(qǐng)為網(wǎng)絡(luò)留出一片凈土吧！